El aislamiento del contenedor y lo que lo rompe

Una máquina virtual lleva su propio núcleo. Un contenedor no: es un proceso normal del servidor al que el núcleo le recorta lo que ve. Dos piezas hacen el recorte. Los espacios de nombres deciden qué ve el proceso (sus procesos, su red, sus carpetas, sus usuarios) y los grupos de control deciden cuánto puede gastar (memoria, procesador, número de procesos).

La consecuencia importa al auditar: como el núcleo es el mismo para todos, un fallo del núcleo o una pared mal puesta afecta al servidor entero, no solo al contenedor.

Dentro de un contenedor, «ser root» no significa tener todo el poder de root en el servidor. El núcleo reparte el poder de root en piezas pequeñas llamadas capacidades: una para abrir sockets crudos, otra para cambiar el propietario de un archivo, otra para administrar el sistema. Un contenedor arranca con un conjunto reducido y quien lo lanza puede quitar o añadir piezas.

El patrón defensivo es quitarlas todas y devolver solo las que la aplicación demuestra necesitar. Cuando la lista de capacidades que hace falta se alarga, la pregunta útil no es «cuál añado» sino «por qué esta imagen necesita tanto».

Existe un interruptor que apaga casi todas las paredes de golpe: el modo privilegiado. Con él el contenedor recibe casi todas las capacidades y acceso a los dispositivos del servidor. Se puede pedir «por comodidad» porque hace desaparecer errores de permisos, y por eso aparece en tutoriales y en archivos de despliegue copiados sin leer.

A efectos de auditoría, un contenedor privilegiado se trata como equivalente a root del servidor hasta que se demuestre lo contrario. En la inspección de un contenedor se ve de un vistazo.

Un contenedor puede ver carpetas del servidor si se le montan. Una carpeta dedicada y de solo lectura es razonable. Montar el directorio personal entero, o la raíz, deja el servidor a la vista de cualquier proceso comprometido.

El caso peor es el socket del motor de contenedores: es la puerta con la que se manda al motor crear y gestionar contenedores. Quien lo alcanza desde dentro puede lanzar uno nuevo con el disco del servidor montado: equivale a tener el control del servidor. Se ve en la lista de montajes de la inspección.

El último ajuste del arranque decide quién llega al contenedor. Publicar un puerto lo hace accesible desde la red del servidor; si se publica en todas las interfaces, también desde fuera. Una base de datos de pruebas con su puerto publicado en todas partes es de los hallazgos más comunes, y casi nunca se hizo a propósito: venía copiado de un ejemplo.

La revisión es la misma de siempre: qué puertos están publicados, en qué dirección escuchan y si alguien necesita de verdad llegar a ellos desde fuera.